unser Versicherer möchte einen Fragebogen zur Cybersicherheit für die Police ausfüllen

Cyber-Policen-Fragebogen behandelt oft dieselben zehn Punkte

Der Fragebogen eines Versicherers überlappt sich weitgehend mit den zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2: Risikoanalyse, Vorfallbehandlung, Kontinuität, Lieferkette, Schwachstellenmanagement, Prüfung, Sensibilisierung, Kryptographie, Zugangsrichtlinie und MFA. Versicherer fragen dies nicht, weil das Unternehmen unter NIS2 fällt – das ist oft nicht der Fall – sondern weil diese zehn Punkte inzwischen der allgemeine Maßstab für Cyberrisiken sind. Das Erkennen dieser Struktur beschleunigt das Ausfüllen: jede Frage lässt sich auf einen der zehn Punkte zurückführen, auch wenn der Versicherer eigene Formulierungen verwendet.

Für Nachweise gilt: eine Frage zum Zugriffskontrollmanagement erwartet normalerweise eine Antwort zu der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen, unabhängig davon, ob auch Mehrstufenauthentifizierung eingerichtet wurde – Versicherer fragen diese beiden Punkte oft separat ab, auch wenn die Antwort in der Praxis zusammenhängt. Fehlt ein Nachweis, dann ist "nein, noch nicht" eine gültige Antwort auf der Liste; Versicherer berücksichtigen dies bei der Prämie, nicht bei der Akzeptanz an sich. Ein ISO-27001-Zertifikat beschleunigt das Ausfüllen erheblich, weil die Anhang-A-Maßnahmen sich weitgehend mit diesen zehn Punkten überlappen – wer zertifiziert ist, kann bei jeder Frage auf die entsprechende Kontrollnummer verweisen, anstatt eine neue Erläuterung zu schreiben.

Herkunft der zehn Maßnahmen und die Überschneidung mit ISO 27001

Die zehn Maßnahmen sind in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 aufgeführt; das niederländische Cybersicherheitsgesetz setzt diese Richtlinie um und tritt voraussichtlich am 15. August 2026 in Kraft, aber die Maßnahmen selbst werden von Versicherern bereits vor diesem Datum als Referenzrahmen verwendet. ISO/IEC 27001 Anhang A behandelt dieselben Themen in konkreten Sicherheitsmaßnahmen weiter, was erklärt, warum ein Zertifikat oft sofort mehrere Fragen auf der Liste beantwortet.